Vendere software al governo degli Stati Uniti? Conoscere prima l'attestato di sicurezza

Negli ultimi mesi, il governo degli Stati Uniti ha introdotto numerosi nuovi requisiti che interessano le organizzazioni che vendono software agli enti governativi. Poiché questi nuovi requisiti sono complessi, molti leader non sono ancora sicuri dell’impatto che avrà sulla loro organizzazione. In questo articolo condividerò alcuni dei concetti più importanti che dovrai comprendere per proteggere le tue attività governative e rispettare la conformità.

Nuovi requisiti di sicurezza del software: cosa è cambiato?

Negli ultimi anni si sono verificati incidenti di sicurezza di alto profilo come quelli che hanno colpito SolarWinds e il pacchetto open source log4j hanno aumentato l’attenzione del governo sulla sicurezza del software. Iniziare con Ordine esecutivo della Casa Bianca 14028 sul miglioramento della sicurezza informatica della nazione nel maggio 2021, una serie di azioni negli ultimi due anni hanno portato a una serie di requisiti chiari che hanno un impatto su qualsiasi fornitore di software governativo.

D'ora in poi, qualsiasi organizzazione che venda software al governo degli Stati Uniti sarà tenuta ad autocertificare la propria conformità alle pratiche di sviluppo software sicuro delineate dal governo nel Quadro di sviluppo software sicuro NIST.

Una delle cose più importanti da capire è che le organizzazioni non devono semplicemente attestare di seguire queste stesse pratiche per il codice software che scrivono, ma anche che anche i componenti open source che inseriscono nelle loro applicazioni seguono queste pratiche.

All’inizio di giugno, il governo ha riaffermato questi requisiti Memorandum dell'OMB M-23-16 (PDF) e fissano scadenze per la conformità che si stanno avvicinando rapidamente: probabilmente arriveranno nel quarto trimestre di quest'anno (per il software critico) e nel primo trimestre del prossimo anno (per tutti gli altri software).

Ciò significa che nei prossimi mesi le organizzazioni si adopereranno per comprendere questi nuovi requisiti di attestazione e determinare come si conformeranno, sia per il codice che scrivono autonomamente che per i componenti open source che introducono nei loro prodotti software.

Secondo M-23-16, la sanzione per inadempienza è severa:

“L’agenzia [federale] deve interrompere l'uso del software se l'agenzia ritiene insoddisfacente la documentazione del produttore del software o se l'agenzia non è in grado di confermare che il produttore ha identificato le pratiche che non può attestare...”

Caso particolarmente impegnativo di Open Source

Man mano che molte organizzazioni approfondiscono i requisiti di attestazione, scoprono che la conformità, soprattutto in caso di scadenze ravvicinate, può rivelarsi impegnativa. Il NIST SSDF è un quadro complesso per la sicurezza e ci vorrà del tempo affinché le organizzazioni non solo garantiscano di rispettare queste pratiche, ma anche di documentarle in dettaglio.

Ma ancora più scoraggiante è il fatto che il governo stia chiedendo ai fornitori di attestare le pratiche di sicurezza dell’intero prodotto software, compresi i componenti open source di quel software. Oggi, il software moderno è spesso costituito in gran parte da componenti open source messi insieme insieme ad alcuni software personalizzati. Nella nostra ricerca lo abbiamo scoperto oltre il 90% delle applicazioni contiene componenti open source, e in molti casi l'open source costituisce oltre il 70% del codice base.

La tua organizzazione può attestare le proprie pratiche di sicurezza, ma come puoi attestare esattamente le pratiche di sicurezza seguite dai manutentori open source che scrivono e mantengono il codice open source che utilizzi nelle tue applicazioni?

È una sfida enorme e le organizzazioni si rivolgono ai manutentori open source per maggiori informazioni sulle loro pratiche di sicurezza. Sfortunatamente, molti di questi manutentori open source sono volontari non retribuiti, che lavorano sull'open source come hobby di notte e nei fine settimana. Pertanto, chiedere loro di fare il lavoro extra per verificare che le loro pratiche di sicurezza corrispondano agli standard elevati stabiliti dal NIST SSDF non è pratico.

Un modo in cui le organizzazioni possono evitare questa sfida è semplicemente non utilizzare l’open source nelle loro applicazioni. E anche se a prima vista sembra una soluzione semplice, è anche un’alternativa sempre più impraticabile, poiché l’open source per molti versi è diventato di fatto la moderna piattaforma di sviluppo.

Un modo migliore per risolvere questo problema è garantire che i manutentori dei pacchetti su cui fai affidamento vengano pagati per svolgere questo importante lavoro di sicurezza.

Ciò potrebbe richiedere ulteriori ricerche per garantire che i componenti open source che stai utilizzando abbiano alle spalle dei manutentori che vengono pagati - da benefattori aziendali, da fondazioni o da sforzi commerciali - per convalidare che i loro pacchetti soddisfino questi importanti standard di sicurezza. Oppure puoi anche contattare tu stesso i manutentori e diventare uno sponsor aziendale del loro lavoro. Quando progetti il ​​tuo approccio, tieni presente che la maggior parte delle applicazioni moderne non banali hanno migliaia di dipendenze open source distinte, ciascuna creata e gestita da un individuo o team diverso, quindi lo sforzo manuale per adattare questo approccio è considerevole.

Un passo avanti impegnativo ma necessario

Potrebbe essere difficile rispettare questi requisiti, ma nel contesto delle crescenti vulnerabilità della sicurezza che causano danni enormi ai settori pubblico e privato, rappresentano un passo avanti necessario. Il governo degli Stati Uniti è il più grande acquirente di beni e servizi al mondo, e questo vale sia per l'IT che per altri settori. Utilizzando il proprio potere d’acquisto per imporre miglioramenti allo standard generale di sicurezza per il software, il governo sta contribuendo a garantire un futuro più sicuro.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Automobilistico/VE, Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• BlockOffset. Modernizzare la proprietà della compensazione ambientale. Accedi qui.
• Fonte: https://www.darkreading.com/application-security/selling-software-government-know-security-attestation-first